Si bé Microsoft Edge es considera més segur que Chrome i Firefox, l’alerta de seguretat del navegador és susceptible d’abusar la estafa de suport tècnic. Un investigador de seguretat ha descobert una vulnerabilitat a Edge que podria permetre als estafadors mostrar una alerta de seguretat falsa per a qualsevol domini.

Manuel Caballero, que manté el blog del Broken Browser, va comprovar que els estafadors també podrien personalitzar el text per a les alertes falses per atraure els usuaris que no dubtessin a trucar a números de suport de tecnologia. Els operadors del centre de trucades, de fet, atracarien les víctimes a desemborsar grans sumes de taxes.

Caballero va assenyalar que la campanya maliciosa no és cap novetat. Tot i això, va reconèixer que els estafadors avançaven el seu truc per enganyar més usuaris. Va escriure en una publicació al bloc:

"Representen advertències o BSOD vermells amb missatges falsos i, de vegades, fins i tot llancen alertes de bloqueig per evitar que els usuaris marxin. Quan un usuari tanca el quadre d’alerta n’apareix un de nou, ad infinitum. ”

Hi ha un defecte a la funció de seguretat de la pantalla SmartScreen d'Edge

Caballero va dir que el error de seguretat existeix a la característica de seguretat de la pantalla SmartScreen d'Edge, i va afegir que el defecte només és per a Edge. SmartScreen treballa per detectar descàrregues drive-by i URL de phishing de manera que mostra una alerta de seguretat dins de la finestra del navegador.

Els missatges d'advertència es troben en els protocols d'instal·lació de Edge ms-appx: i ms-appx-web. Edge utilitza aquests protocols per mostrar missatges d'advertència quan el navegador detecta llocs de lliurament de suplantació de pesca o programari maliciós.

L’investigador de seguretat ha explicat que el defecte no només pot permetre que els pirates informàtics extreguessin els protocols i personalitzessin els missatges d’avís, sinó que també permeten que els cibersinceros falsifiquin l’URL a la barra d’adreces de Edge. Els estafadors també podrien afegir un hash i forjar una pàgina d’estafa de suport tècnic per tal que l’arrebossat sembli autèntic. De la mateixa manera, els usuaris que no esperen pensarien que un lloc web que visiten és legítim, quan de fet s'està fent malbé.

La vulnerabilitat podria servir d’eina eficaç perquè els estafadors amb suport tecnològic masquin el seu atac amb una URL legítima. A més, actualment no hi ha solucions per a la falla, segons Caballero, que va afirmar que Microsoft ignorava els seus informes en el passat.

Llegiu també:

• Com suprimir les estafes emergents de suport de tecnologia a Windows
• Micorsoft adverteix els usuaris de Hicurdismos, una estafa de "suport telefònic"
• Microsoft Edge és compatible amb Windows Defender Guard per a una millor seguretat